Cisco Voice and Unified Communications 제품의 취약점 식별 및 완화

Cisco의 대응

이 Applied Mitigation Bulletin은 다음 PSIRT Security Advisories와 함께 제공되는 문서입니다.
- Cisco Unified Communications Manager에 여러 취약성 포함
- Cisco Unified Presence Server Denial of Service 취약성
- Cisco Prime Central for Hosted Collaboration Solution Assurance 과도한 CPU 사용률 취약성
이 문서에서는 관리자가 Cisco 네트워크 장치에 구축할 수 있는 식별 및 완화 기술을 제공합니다.

취약성 특성

Cisco Voice and Unified Communications 제품에는 여러 가지 취약점이 있습니다. 다음 하위 섹션에는 이러한 취약성이 요약되어 있습니다.

LBM(Locations Bandwidth Manager) Cache Pierce 취약점: 이 취약점은 인증 없이, 그리고 최종 사용자 상호 작용 없이 원격으로 악용될 수 있습니다. 이 취약성을 성공적으로 악용하면 DoS(서비스 거부) 조건이 발생할 수 있습니다. 익스플로잇을 위한 공격 벡터는 TCP 포트 9004를 사용하는 IPv4 및 IPv6 패킷을 통해 이루어집니다.

이 취약성에는 CVE(Common Vulnerabilities and Exposures) 식별자 CVE-2013-1134가 할당되었습니다.

Cisco Unified Presence Server Denial of Service 취약성: 이 취약성은 인증 없이 그리고 최종 사용자 상호 작용 없이 원격으로 악용될 수 있습니다. 이 취약성을 성공적으로 악용하면 DoS 상태가 발생할 수 있습니다. 익스플로잇을 위한 공격 벡터는 TCP 포트 5060을 사용하는 SIP IPv4 및 IPv6 패킷을 통해 이루어집니다.

이 취약성에는 CVE 식별자 CVE-2013-1137이 할당되었습니다.

Cisco Prime Central for Hosted Collaboration Solution Assurance Excessive CPU Utilization Vulnerability: 이 취약성은 인증 없이 그리고 최종 사용자 상호 작용 없이 원격으로 악용될 수 있습니다. 이 취약성을 성공적으로 악용하면 DoS 상태가 발생할 수 있습니다. 익스플로잇을 위한 공격 벡터는 TCP 포트 9043 및 9443을 사용하는 IPv4 및 IPv6 패킷을 통해 이루어집니다.

이 취약성에는 CVE 식별자 CVE-2013-1135가 할당되었습니다.

취약성 개요

취약한 소프트웨어, 영향을 받지 않는 소프트웨어, 고정된 소프트웨어에 대한 정보는 Cisco Security Advisories에서 확인할 수 있으며, 다음 링크에서 확인할 수 있습니다.

완화 기법 개요

Cisco 디바이스는 이러한 취약성에 대한 몇 가지 대응책을 제공합니다. 관리자는 이러한 보호 방법을 인프라 디바이스 및 네트워크를 이동하는 트래픽에 대한 일반적인 보안 모범 사례로 고려하는 것이 좋습니다. 이 문서에서는 이러한 기술에 대한 개요를 제공합니다.

Cisco IOS Software는 tACL(transit access control list)을 사용하여 효과적인 익스플로잇 방지 수단을 제공할 수 있습니다

이 보호 메커니즘은 이러한 취약성을 악용하려는 패킷을 필터링하고 삭제합니다.

Cisco ASA 5500 Series Adaptive Security Appliance, Cisco Catalyst 6500 Series ASASM(ASA Services Module), Cisco Catalyst 6500 Series Switches 및 Cisco 7600 Series Routers용 FWSM(Firewall Services Module)에서도 다음을 사용하여 효과적인 익스플로잇 방지 수단을 제공할 수 있습니다.
- tACL
- TCP 정규화
이러한 보호 메커니즘은 이러한 취약성을 악용하려는 패킷을 필터링 및 삭제합니다.

Cisco ACE Application Control Engine Appliance 및 Module에서는 TCP 정규화를 사용하여 효과적인 익스플로잇 방지를 제공할 수도 있습니다.

이 보호 메커니즘은 이러한 취약성을 악용하려는 패킷을 필터링하고 삭제합니다.

Cisco IOS NetFlow 레코드는 네트워크 기반 익스플로잇 시도에 대한 가시성을 제공할 수 있습니다.

Cisco IOS Software, Cisco ASA, Cisco ASASM, Cisco FWSM 방화벽, Cisco ACE Application Control Engine Appliance 및 Module은 show 명령 출력에 표시된 syslog 메시지 및 카운터 값을 통해 가시성을 제공할 수 있습니다.

Cisco IPS(Intrusion Prevention System) 이벤트 작업을 효과적으로 사용하면 이러한 취약성을 악용하려는 공격에 대한 가시성과 차단 기능을 제공할 수 있습니다.

또한 Cisco Security Manager는 인시던트, 쿼리 및 이벤트 보고를 통해 가시성을 제공할 수 있습니다.

위험 관리

조직은 이러한 취약성의 잠재적 영향을 판단하기 위해 표준 위험 평가 및 완화 프로세스를 따르는 것이 좋습니다. 분류(Triage)란 성공 가능성이 가장 높은 프로젝트를 분류하고 노력을 우선 순위를 정하는 것을 말한다. Cisco는 조직이 정보 보안 팀을 위해 위험 기반 분류 기능을 개발하는 데 도움이 될 문서를 제공했습니다. 보안 취약성 알림에 대한 위험 분류 및 위험 분류 및 프로토타이핑은 조직이 반복 가능한 보안 평가 및 대응 프로세스를 개발하는 데 도움이 될 수 있습니다.

디바이스별 완화 및 식별

주의: 모든 완화 기법의 효과는 제품 혼합, 네트워크 토폴로지, 트래픽 동작, 조직 임무 등 특정 고객 상황에 따라 달라집니다. 모든 컨피그레이션 변경과 마찬가지로, 변경 사항을 적용하기 전에 이 컨피그레이션의 영향을 평가합니다.

완화 및 식별에 대한 구체적인 정보를 다음 장치에 사용할 수 있습니다.

Cisco IOS 라우터 및 스위치
Cisco IOS NetFlow 및 Cisco IOS Flexible NetFlow
Cisco ASA, Cisco ASASM 및 Cisco FWSM 방화벽
Cisco ACE
Cisco 침입 방지 시스템
Cisco 보안 관리자

Cisco IOS 라우터 및 스위치

완화: 통과 액세스 제어 목록

인터넷 연결 지점, 파트너 및 공급업체 연결 지점 또는 VPN 연결 지점이 포함될 수 있는 인그레스 액세스 지점에서 네트워크로 들어오는 트래픽으로부터 네트워크를 보호하려면 관리자가 tACL(transit access control list)을 구축하여 정책 시행을 수행하는 것이 좋습니다. 관리자는 승인 받은 트래픽만 인그레스 액세스 포인트에서 네트워크에 들어가도록 명시적으로 허용하거나 기존 보안 정책 및 컨피그레이션에 따라 인증 받은 트래픽이 네트워크를 통과하도록 허용하여 tACL을 구성할 수 있습니다. tACL 해결 방법은 공격이 신뢰할 수 있는 소스 주소에서 시작되는 경우 이러한 취약성에 대한 완벽한 보호를 제공할 수 없습니다.

tACL 정책은 영향을 받는 디바이스로 전송되는 TCP 포트 9004, 5060, 9043, 9443의 무단 IPv4 및 IPv6 패킷을 거부합니다. 다음 예에서 192.168.60.0/24 및 2001:DB8:1:60::/64는 영향을 받는 디바이스에서 사용하는 IP 주소 공간을 나타내며 192.168.100.1 및 2001:DB8::100:1의 호스트는 영향을 받는 디바이스에 액세스해야 하는 신뢰할 수 있는 소스로 간주됩니다. 모든 무단 트래픽을 거부하기 전에 라우팅 및 관리 액세스에 필요한 트래픽을 허용하도록 주의해야 합니다.

tACL에 대한 추가 정보가 트랜짓 액세스 제어 목록: 에지에서 필터링에 있습니다.

! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable protocols and ports !
access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 9004
access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060
access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 9043
access-list 150 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 9443
! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 9004
access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 5060
access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 9043
access-list 150 deny tcp any 192.168.60.0 0.0.0.255 eq 9443
! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
access-list 150 deny ip any any
!
!-- Create the corresponding IPv6 tACL !
ipv6  access-list IPv6-Transit-ACL-Policy
 ! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable protocols and ports !
  permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 9004
  permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 5060
  permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 9043
  permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 9443
 ! !-- The following vulnerability-specific ACEs can !-- aid in identification of attacks to global and !-- link-local addresses !
  deny tcp any 2001:DB8:1:60::/64 eq 9004
  deny tcp any 2001:DB8:1:60::/64 eq 5060
  deny tcp any 2001:DB8:1:60::/64 eq 9043
  deny tcp any 2001:DB8:1:60::/64 eq 9443
 ! !-- Permit or deny all other Layer 3 and Layer 4 traffic in !-- accordance with existing security policies and configurations !-- and allow IPv6 neighbor discovery packets, which !-- include neighbor solicitation packets and neighbor !-- advertisement packets !
  permit icmp any any nd-ns
  permit icmp any any nd-na
  ! 
 !-- Explicit deny for all other IPv6 traffic !
  deny ipv6 any any
 !
! !-- Apply tACLs to interfaces in the ingress direction !
interface GigabitEthernet0/0
 ip access-group 150 in
 ipv6 traffic-filter IPv6-Transit-ACL-Policy in

인터페이스 액세스 목록으로 필터링하면 ICMP 도달 불가 메시지를 필터링된 트래픽의 소스로 다시 전송합니다. 이러한 메시지를 생성하면 디바이스에서 CPU 사용률이 증가하는 원치 않는 영향을 미칠 수 있습니다. Cisco IOS Software에서 ICMP 연결 불가능 생성은 기본적으로 500밀리초마다 하나의 패킷으로 제한됩니다. ICMP 연결 불가 메시지 생성은 인터페이스 컨피그레이션 명령 no ip unreachable 및 no ipv6 unreachable을 사용하여 비활성화할 수 있습니다. ICMP 연결 불가능 속도 제한은 ip icmp rate-limit unreachable interval-in-ms 및 ipv6 icmp error-interval interval-in-ms 전역 컨피그레이션 명령을 사용하여 기본값에서 변경할 수 있습니다.

식별: 통과 액세스 제어 목록

관리자가 인터페이스에 tACL을 적용한 후 show ip access-lists 및 show ipv6 access-list 명령은 필터링된 TCP 포트 9004, 5060, 9043, 9443의 IPv4 및 IPv6 패킷 수를 식별합니다. 관리자는 필터링된 패킷을 조사하여 이러한 취약성을 악용하려는 시도인지 확인하는 것이 좋습니다. show ip access-lists 150 및 show ipv6 access-list IPv6-Transit-ACL-Policy의 출력 예:

router#show ip access-lists 150
Extended IP access list 150
    10 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 9004
    20 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 5060
    30 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 9043
    40 permit tcp host 192.168.100.1 192.168.60.0 0.0.0.255 eq 9443
    50 deny tcp any 192.168.60.0 0.0.0.255 eq 9004 (3 matches)
    60 deny tcp any 192.168.60.0 0.0.0.255 eq 5060 (40 matches)
    70 deny tcp any 192.168.60.0 0.0.0.255 eq 9043 (17 matches)
    80 deny tcp any 192.168.60.0 0.0.0.255 eq 9443 (19 matches)
    90 deny ip any any
router#

앞의 예에서 액세스 목록 150은 신뢰할 수 없는 호스트 또는 네트워크로부터 수신한 다음 패킷을 삭제했습니다.

ACE 라인 50용 TCP 포트 9004의 3개 패킷
ACE 라인 60용 TCP 포트 5060의 SIP 패킷 40개
ACE 라인 70용 TCP 포트 9043의 17개 패킷
ACE 라인 80에 대한 TCP 포트 9443의 19개 패킷

router#show ipv6 access-list IPv6-Transit-ACL-Policy 
IPv6 access list IPv6-Transit-ACL-Policy
    permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 9004 (48 matches) sequence 10
    permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 5060 (10 matches) sequence 20
    permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 9043 (50 matches) sequence 30
    permit tcp host 2001:DB8::100:1 2001:DB8:1:60::/64 eq 9443 (29 matches) sequence 40
    deny tcp any 2001:DB8:1:60::/64 eq 9004 (19 matches) sequence 50
    deny tcp any 2001:DB8:1:60::/64 eq 5060 (16 matches) sequence 60
    deny tcp any 2001:DB8:1:60::/64 eq 9043 (8 matches) sequence 70
    deny tcp any 2001:DB8:1:60::/64 eq 9443 (39 matches) sequence 80
    permit icmp any any nd-ns (80 matches) sequence 90
    permit icmp any any nd-na (91 matches) sequence 100
    deny ipv6 any any (121 matches) sequence 110

앞의 예에서 액세스 목록 IPv6-Transit-ACL-Policy는 신뢰할 수 없는 호스트 또는 네트워크에서 받은 다음 패킷을 삭제했습니다.

19 ACE 라인 50에 대한 TCP 포트 9004의 패킷
ACE 라인 60용 TCP 포트 5060의 SIP 패킷 16개
ACE 라인 70에 대한 TCP 포트 9043의 8개 패킷
ACE 라인 80에 대한 TCP 포트 9443의 39개 패킷

ACE 카운터 및 syslog 이벤트를 사용하여 인시던트를 조사하는 방법에 대한 자세한 내용은 Identifying Incidents Using Firewall and IOS Router Syslog Events Cisco Security Intelligence Operations 백서를 참조하십시오.

관리자는 ACE 카운터 적중과 같은 특정 조건이 충족될 때 Embedded Event Manager를 사용하여 계측을 제공할 수 있습니다. Cisco Security Intelligence Operations 백서 Embedded Event Manager in a Security Context에서는 이 기능을 사용하는 방법에 대한 추가 세부 정보를 제공합니다.

ID: 액세스 목록 로깅

log and log-input ACL(access control list) 옵션을 사용하면 특정 ACE와 일치하는 패킷이 로깅됩니다. log-input 옵션은 패킷 소스 및 목적지 IP 주소와 포트 외에 인그레스 인터페이스의 로깅을 활성화합니다.

주의: 액세스 제어 목록 로깅은 CPU를 많이 사용할 수 있으므로 각별한 주의를 기울여 사용해야 합니다. ACL 로깅의 CPU 영향을 제어하는 요소는 로그 생성, 로그 전송, 로그 지원 ACE와 일치하는 패킷을 전달하는 프로세스 스위칭입니다.

Cisco IOS Software의 경우 ip access-list logging interval in-ms 명령은 IPv4 ACL 로깅에 의해 유발되는 프로세스 전환의 효과를 제한할 수 있습니다. logging rate-limit rate-per-second except loglevel 명령은 로그 생성 및 전송의 영향을 제한합니다.

ACL 로깅의 CPU 영향은 Supervisor Engine 720 또는 Supervisor Engine 32를 사용하는 Cisco Catalyst 6500 Series 스위치 및 Cisco 7600 Series 라우터의 하드웨어에서 최적화된 ACL 로깅을 사용하여 해결할 수 있습니다.

ACL 로깅의 컨피그레이션 및 사용에 대한 자세한 내용은 액세스 제어 목록 로깅 이해 Cisco Security 백서를 참조하십시오.

Cisco IOS NetFlow 및 Cisco IOS Flexible NetFlow

식별: Cisco IOS NetFlow를 사용한 IPv4 트래픽 흐름 식별

관리자는 Cisco IOS 라우터 및 스위치에서 Cisco IOS NetFlow를 구성하여 이러한 취약성을 악용하려는 시도일 수 있는 IPv4 트래픽 흐름을 식별할 수 있도록 지원할 수 있습니다. 관리자는 플로우를 조사하여 이러한 취약성을 악용하려는 시도인지 또는 올바른 트래픽 플로우인지 확인하는 것이 좋습니다.

router#show ip cache flow
IP packet size distribution (90784136 total packets):
   1-32   64   96  128  160  192  224  256  288  320  352  384  416  448  480
   .000 .698 .011 .001 .004 .005 .000 .004 .000 .000 .003 .000 .000 .000 .000

    512  544  576 1024 1536 2048 2560 3072 3584 4096 4608
   .000 .001 .256 .000 .010 .000 .000 .000 .000 .000 .000

IP Flow Switching Cache, 4456704 bytes
  1885 active, 63651 inactive, 59960004 added
  129803821 ager polls, 0 flow alloc failures
  Active flows timeout in 30 minutes
  Inactive flows timeout in 15 seconds
IP Sub Flow Cache, 402056 bytes
  0 active, 16384 inactive, 0 added, 0 added to flow
  0 alloc failures, 0 force free
  1 chunk, 1 chunk added
  last clearing of statistics never
Protocol         Total    Flows   Packets Bytes  Packets Active(Sec) Idle(Sec)
--------         Flows     /Sec     /Flow  /Pkt     /Sec     /Flow     /Flow
TCP-Telnet    11393421      2.8         1    48      3.1       0.0       1.4
TCP-FTP            236      0.0        12    66      0.0       1.8       4.8
TCP-FTPD            21      0.0     13726  1294      0.0      18.4       4.1
TCP-WWW          22282      0.0        21  1020      0.1       4.1       7.3
TCP-X              719      0.0         1    40      0.0       0.0       1.3
TCP-BGP              1      0.0         1    40      0.0       0.0      15.0
TCP-Frag         70399      0.0         1   688      0.0       0.0      22.7
TCP-other     47861004     11.8         1   211     18.9       0.0       1.3
UDP-DNS            582      0.0         4    73      0.0       3.4      15.4
UDP-NTP         287252      0.0         1    76      0.0       0.0      15.5
UDP-other       310347      0.0         2   230      0.1       0.6      15.9
ICMP             11674      0.0         3    61      0.0      19.8      15.5
IPv6INIP            15      0.0         1  1132      0.0       0.0      15.4
GRE                  4      0.0         1    48      0.0       0.0      15.3 
Total:        59957957     14.8         1   196     22.5       0.0       1.5

SrcIf         SrcIPaddress    DstIf         DstIPaddress    Pr SrcP DstP  Pkts
Gi0/0         192.168.10.201  Gi0/1         192.168.60.102  11 0984 84D1     1
Gi0/0         192.168.11.54   Gi0/1         192.168.60.158  06 0911 2353     3
Gi0/1         192.168.150.60  Gi0/0         10.89.16.226    06 0016 12CA     1
Gi0/0         192.168.13.97   Gi0/1         192.168.60.28   06 0B3E 24E3     5
Gi0/0         192.168.10.17   Gi0/1         192.168.60.97   06 0B89 13C4     1
Gi0/0         10.88.226.1     Gi0/1         192.168.202.22  11 007B 13C4     1
Gi0/0         192.168.12.185  Gi0/1         192.168.60.239  06 0BD7 232C     1
Gi0/0         10.89.16.226    Gi0/1         192.168.150.60  06 12CA 0016     1
router#

앞의 예에서는 TCP 포트 9004(16진수 값 232C), 5060(16진수 값 13C4), 9043(16진수 값 2353) 및 9443(16진수 값 24E3)에 여러 흐름이 있습니다.

다음 예에 표시된 것처럼 TCP 포트 9004(16진수 값 232C), 5060(16진수 값 13C4), 9043(16진수 값 2353), 9443(16진수 값 24E3)에서 패킷만 보려면 show ip cache flow를 사용합니다 | 관련 Cisco NetFlow 레코드를 표시하려면 SrcIf|_06_.*(232C|13C4|2353|24E3)_ 명령을 포함합니다.

TCP 흐름

router#show ip cache flow | include SrcIf|_06_.*(232C|13C4|2353|24E3)_
SrcIf         SrcIPaddress     DstIf         DstIPaddress    Pr SrcP DstP  Pkts
Gi0/0         192.168.12.110   Gi0/1         192.168.60.163  06 092A 24E3     6
Gi0/0         192.168.11.230   Gi0/1         192.168.60.20   06 0C09 13C4     1
Gi0/0         192.168.11.131   Gi0/1         192.168.60.245  06 0B66 232C    18
Gi0/0         192.168.13.7     Gi0/1         192.168.60.162  06 0914 232C     1
Gi0/0         192.168.41.86    Gi0/1         192.168.60.27   06 0B7B 2353     2
router#

식별: Cisco IOS NetFlow를 사용한 IPv6 트래픽 흐름 식별

관리자는 Cisco IOS 라우터 및 스위치에서 Cisco IOS NetFlow를 구성하여 이 문서에 설명된 취약성을 악용하려는 시도가 될 수 있는 IPv6 트래픽 흐름을 식별할 수 있도록 지원할 수 있습니다. 관리자는 플로우를 조사하여 이러한 취약성을 악용하려는 시도인지 또는 올바른 트래픽 플로우인지 확인하는 것이 좋습니다.

다음은 Cisco IOS Software 12.4 메인라인 트레인을 실행하는 Cisco IOS 디바이스의 출력입니다. 명령 구문은 Cisco IOS 소프트웨어 트레인마다 다릅니다.

router#show ipv6 flow cache

IP packet size distribution (50078919 total packets):
   1-32  64   96  128  160  192  224  256  288  320  352  384  416  448  480
   .000 .990 .001 .008 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000

    512  544  576 1024 1536 2048 2560 3072 3584 4096 4608
   .000 .000 .000 .000 .000 .000 .000 .000 .000 .000 .000

IP Flow Switching Cache, 475168 bytes
  8 active, 4088 inactive, 6160 added
  1092984 ager polls, 0 flow alloc failures
  Active flows timeout in 30 minutes
  Inactive flows timeout in 15 seconds

IP Sub Flow Cache, 33928 bytes
  16 active, 1008 inactive, 12320 added, 6160 added to flow
  0 alloc failures, 0 force free
  1 chunk, 1 chunk added

SrcAddress        InpIf    DstAddress       OutIf    Prot SrcPrt DstPrt Packets
2001:DB...06::201 Gi0/0    2001:DB...28::20 Local    0x11 0x16C4 0x13C4 1464
2001:DB...6A:5BA6 Gi0/0    2001:DB...28::21 Gi0/1    0x3A 0x0000 0x8000 1191
2001:DB...6A:5BA6 Gi0/0    2001:DB...134::3 Gi0/1    0x3A 0x0000 0x8000 1191
2001:DB...6A:5BA6 Gi0/0    2001:DB...128::4 Gi0/1    0x3A 0x0000 0x8000 1192    
2001:DB...6A:5BA6 Gi0/0    2001:DB...128::2 Gi0/1    0x06 0x160A 0x232C 1597
2001:DB...06::201 Gi0/0    2001:DB...128::3 Gi0/1    0x06 0x1610 0x2353 1001  
2001:DB...06::201 Gi0/0    2001:DB...128::4 Gi0/1    0x06 0x1634 0x24E3 1292  
2001:DB...6A:5BA6 Gi0/0    2001:DB...128::3 Gi0/1    0x3A 0x0000 0x8000 1155
2001:DB...6A:5BA6 Gi0/0    2001:DB...146::3 Gi0/1    0x3A 0x0000 0x8000 1092
2001:DB...6A:5BA6 Gi0/0    2001:DB...144::4 Gi0/1    0x3A 0x0000 0x8000 1193

전체 128비트 IPv6 주소의 표시를 허용하려면 terminal width 132 exec mode 명령을 사용합니다.

앞의 예에서는 TCP 포트 9004(16진수 값 232C), 5060(16진수 값 13C4), 9043(16진수 값 2353) 및 9443(16진수 값 24E3)에 여러 플로우가 있습니다.

다음 예에 표시된 것처럼 TCP 포트 9004(16진수 값 232C), 5060(16진수 값 13C4), 9043(16진수 값 2353) 및 9443(16진수 값 24E3)에서 패킷만 보려면 show ipv6 flow cache를 사용합니다 | 관련 Cisco NetFlow 레코드를 표시하려면 SrcIf|_06_.*(232C|13C4|2353|24E3)_ 명령을 포함합니다.

TCP 흐름

router#show ipv6 flow cache | include SrcIf|_06_.*(232C|13C4|2353|24E3)_
SrcAddress        InpIf    DstAddress       OutIf    Prot SrcPrt DstPrt Packets
2001:DB...6A:5BA6 Gi0/0    2001:DB...128::2 Gi0/1    0x06 0x160A 0x13C4 1597
router#

식별: Cisco Flexible NetFlow를 사용한 IPv4 트래픽 흐름 식별

Cisco IOS Software 릴리스 12.2(31)SB2 및 12.4(9)T에 도입된 Cisco IOS Flexible NetFlow는 관리자의 특정 요구 사항에 맞게 트래픽 분석 매개변수를 맞춤화하는 기능을 추가하여 원래의 Cisco NetFlow를 개선합니다. 원래의 Cisco NetFlow는 IP 정보의 고정된 7튜플을 사용하여 플로우를 식별하는 반면, Cisco IOS Flexible NetFlow는 플로우를 사용자 정의할 수 있게 해줍니다. 재사용 가능한 구성 구성 요소를 사용하여 트래픽 분석 및 데이터 내보내기를 위한 더 복잡한 구성을 쉽게 생성할 수 있습니다.

다음 출력은 15.1T 트레인의 Cisco IOS Software 버전을 실행 중인 Cisco IOS 디바이스의 출력입니다. 12.4T 및 15.0 열차의 구문은 거의 동일하지만, 실제 사용되는 Cisco IOS 릴리스에 따라 약간 달라질 수 있습니다. 다음 컨피그레이션에서 Cisco IOS Flexible NetFlow는 match ipv4 source address key(ipv4 소스 주소 키) 필드 명령문에 정의된 대로 소스 IPv4 주소를 기반으로 수신 IPv4 흐름에 대한 인터페이스 GigabitEthernet0/0에 대한 정보를 수집합니다. Cisco IOS Flexible NetFlow에는 소스 및 목적지 IPv4 주소, 프로토콜, 포트(있는 경우), 인그레스 및 이그레스 인터페이스, 플로우당 패킷에 대한 키 필드가 아닌 정보도 포함됩니다.

! !-- Configure key and nonkey fields !-- in the user-defined flow record !
flow record FLOW-RECORD-ipv4
 match ipv4 source address
 collect ipv4 protocol
 collect ipv4 destination address
 collect transport source-port
 collect transport destination-port
 collect interface input
 collect interface output
 collect counter packets
! !-- Configure the flow monitor to !-- reference the user-defined flow !-- record !
flow monitor FLOW-MONITOR-ipv4
 record FLOW-RECORD-ipv4
! !-- Apply the flow monitor to the interface !-- in the ingress direction !
interface GigabitEthernet0/0
 ip flow monitor FLOW-MONITOR-ipv4 input

Cisco IOS Flexible NetFlow 흐름 출력은 다음과 같습니다.

router#show flow monitor FLOW-MONITOR-ipv4 cache format table
  Cache type:                               Normal
  Cache size:                                 4096
  Current entries:                               6
  High Watermark:                                1

  Flows added:                                   9181
  Flows aged:                                    9175
    - Active timeout      (  1800 secs)          9000
    - Inactive timeout    (    15 secs)           175
    - Event aged                                    0
    - Watermark aged                                0
    - Emergency aged                                0

IPV4 SRC ADDR   ipv4 dst addr   trns src port trns dst port intf input intf output pkts   ip prot
=============== =============== ============= ============= ========== =========== ====== =======
 192.168.10.201  192.168.60.102          1456          9043      Gi0/0       Gi0/1   1128      6
 192.168.11.54   192.168.60.158           123           123      Gi0/0       Gi0/1   2212     17
 192.168.150.60    10.89.16.226          2567          9443      Gi0/0       Gi0/1     13      6
 192.168.13.97    192.168.60.28          3451          9004      Gi0/0       Gi0/1      1      6
 192.168.10.17    192.168.60.97          4231          5060      Gi0/0       Gi0/1    146      6
   10.88.226.1   192.168.202.22          2678           443      Gi0/0       Gi0/1  10567      6
  10.89.16.226   192.168.150.60          3562            80      Gi0/0       Gi0/1  30012      6

의 패킷만 보려면 TCP 포트 9004, 5060, 9043, 9443은 show flow monitor FLOW-MONITOR-ipv4 cache format 테이블을 사용합니다 | IPV4 DST 주소 포함 |_(9004|5060|9043|9443)_.*_6_ 명령을 사용하여 관련 NetFlow 레코드를 표시합니다.

Cisco IOS Flexible NetFlow에 대한 자세한 내용은 Flexible Netflow 컨피그레이션 가이드, Cisco IOS 릴리스 15.1M&T 및 Cisco IOS Flexible NetFlow 컨피그레이션 가이드, 릴리스 12.4T를 참조하십시오.

식별: Cisco IOS Flexible NetFlow를 사용한 IPv6 트래픽 흐름 식별

다음 출력은 15.1T 트레인의 Cisco IOS Software 버전을 실행 중인 Cisco IOS 디바이스의 출력입니다. 12.4T 및 15.0 열차의 구문은 거의 동일하지만, 실제 사용되는 Cisco IOS 릴리스에 따라 약간 달라질 수 있습니다. 다음 컨피그레이션에서 Cisco IOS Flexible NetFlow는 match ipv6 source address key 필드 명령문에 정의된 대로 소스 IPv6 주소를 기반으로 수신 IPv6 흐름에 대한 인터페이스 GigabitEthernet0/0에 대한 정보를 수집합니다. Cisco IOS Flexible NetFlow에는 소스 및 목적지 IPv6 주소, 프로토콜, 포트(있는 경우), 인그레스 및 이그레스 인터페이스, 플로우당 패킷에 대한 키 필드가 아닌 정보도 포함됩니다.

! !-- Configure key and nonkey fields !-- in the user-defined flow record !
flow record FLOW-RECORD-ipv6
 match ipv6 source address
 collect ipv6 protocol
 collect ipv6 destination address
 collect transport source-port
 collect transport destination-port
 collect interface input
 collect interface output
 collect counter packets
! !-- Configure the flow monitor to !-- reference the user-defined flow !-- record !
flow monitor FLOW-MONITOR-ipv6
 record FLOW-RECORD-ipv6
! !-- Apply the flow monitor to the interface !-- in the ingress direction !
interface GigabitEthernet0/0
  ipv6 flow monitor FLOW-MONITOR-ipv6 input

Cisco IOS Flexible NetFlow 흐름 출력은 다음과 같습니다.

router#show flow monitor FLOW-MONITOR-ipv6 cache format table
  Cache type:                               Normal
  Cache size:                                 4096
  Current entries:                               6
  High Watermark:                                2

  Flows added:                                   539
  Flows aged:                                    532
    - Active timeout      (  1800 secs)          350
    - Inactive timeout    (    15 secs)          182
    - Event aged                                   0
    - Watermark aged                               0
    - Emergency aged                               0

IPV6 SRC ADDR     ipv6 dst addr     trns src port trns dst port intf input intf output pkts ip prot
================= ================= ============= ============= ========== =========== ==== =======
2001:DB...06::201  2001:DB...28::20           123           123      Gi0/0       Gi0/0   17      17
2001:DB...06::201  2001:DB...28::20          1265          9004      Gi0/0       Gi0/0 1237       6
2001:DB...06::201  2001:DB...28::20          1441          9443      Gi0/0       Gi0/0 2346       6
2001:DB...06::201  2001:DB...28::20          1890          5060      Gi0/0       Gi0/0 5009       6
2001:DB...06::201  2001:DB...28::20          2856          5060      Gi0/0       Gi0/0  486      17
2001:DB...06::201  2001:DB...28::20          3012            53      Gi0/0       Gi0/0 1016      17
2001:DB...06::201  2001:DB...28::20          2477            53      Gi0/0       Gi0/0 1563      17

전체 128비트 IPv6 주소의 표시를 허용하려면 terminal width 132 exec mode 명령을 사용합니다.

TCP 포트 9004, 5060, 9043 및 9443의 패킷만 보려면 show flow monitor FLOW-MONITOR-ipv6 cache format 테이블을 사용합니다 | 관련 Cisco IOS Flexible NetFlow 레코드를 표시하려면 IPV6 DST ADDR|_(9004|5060|9043|9443)_.*_6_ 명령을 포함합니다.

Cisco ASA, Cisco ASASM 및 Cisco FWSM 방화벽

완화: 통과 액세스 제어 목록

인터넷 연결 지점, 파트너 및 공급업체 연결 지점 또는 VPN 연결 지점이 포함될 수 있는 인그레스 액세스 지점에서 네트워크로 들어오는 트래픽으로부터 네트워크를 보호하려면 관리자가 tACL을 구축하여 정책 적용을 수행하는 것이 좋습니다. 관리자는 승인 받은 트래픽만 인그레스 액세스 포인트에서 네트워크에 들어가도록 명시적으로 허용하거나 기존 보안 정책 및 컨피그레이션에 따라 인증 받은 트래픽이 네트워크를 통과하도록 허용하여 tACL을 구성할 수 있습니다. tACL 해결 방법은 공격이 신뢰할 수 있는 소스 주소에서 시작되는 경우 이러한 취약성에 대한 완벽한 보호를 제공할 수 없습니다.

tACL 정책은 영향을 받는 디바이스로 전송되는 TCP 포트 9004, 5060, 9043, 9443의 무단 IPv4 및 IPv6 패킷을 거부합니다. 다음 예에서 192.168.60.0/24 및 2001:DB8:1:60::/64는 영향을 받는 디바이스에서 사용하는 IP 주소 공간을 나타내며 192.168.100.1 및 2001:DB8::100:1의 호스트는 영향을 받는 디바이스에 액세스해야 하는 신뢰할 수 있는 소스로 간주됩니다. 모든 무단 트래픽을 거부하기 전에 라우팅 및 관리 액세스에 필요한 트래픽을 허용하도록 주의해야 합니다.

tACL에 대한 추가 정보가 트랜짓 액세스 제어 목록: 에지에서 필터링에 있습니다.

! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable protocols and ports !
access-list tACL-Policy extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 9004
access-list tACL-Policy extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 5060
access-list tACL-Policy extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 9043
access-list tACL-Policy extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 9443
! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 9004
access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 5060
access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 9043
access-list tACL-Policy extended deny tcp any 192.168.60.0 255.255.255.0 eq 9443
! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
access-list tACL-Policy extended deny ip any any
! !-- Create the corresponding IPv6 tACL ! !-- Include explicit permit statements for trusted sources !-- that require access on the vulnerable protocols and ports !
ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
          2001:db8:1:60::/64 eq 9004
ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
          2001:db8:1:60::/64 eq 5060
ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
          2001:db8:1:60::/64 eq 9043
ipv6 access-list IPv6-tACL-Policy permit tcp host 2001:DB8::100:1
          2001:db8:1:60::/64 eq 9443
! !-- The following vulnerability-specific access control entries !-- (ACEs) can aid in identification of attacks !
ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 9004
ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 5060
ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 9043
ipv6 access-list IPv6-tACL-Policy deny tcp any 2001:db8:1:60::/64 eq 9443
! !-- Permit or deny all other Layer 3 and Layer 4 traffic in accordance !-- with existing security policies and configurations ! !-- Explicit deny for all other IP traffic !
ipv6 access-list IPv6-tACL-Policy deny ip any any
! !-- Apply tACLs to interfaces in the ingress direction !
access-group tACL-Policy in interface outside
access-group IPv6-tACL-Policy in interface outside

식별: 통과 액세스 제어 목록

인터페이스에 tACL이 적용되면 관리자는 show access-list 명령을 사용하여 필터링된 TCP 포트 9004, 5060, 9043, 9443의 IPv4 및 IPv6 패킷 수를 식별할 수 있습니다. 관리자는 필터링된 패킷을 조사하여 이러한 취약성을 악용하려는 시도인지 확인하는 것이 좋습니다. show access-list tACL-Policy 및 show access-list IPv6-tACL-Policy의 출력 예:

firewall#show access-list tACL-Policy
access-list tACL-Policy; 9 elements; name hash: 0x3452703d
access-list tACL-Policy line 1 extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 9004 (hitcnt=61)
access-list tACL-Policy line 2 extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq sip (hitcnt=91)
access-list tACL-Policy line 3 extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 9043 (hitcnt=27)
access-list tACL-Policy line 4 extended permit tcp host 192.168.100.1 
     192.168.60.0 255.255.255.0 eq 9443 (hitcnt=4)
access-list tACL-Policy line 5 extended deny tcp any 192.168.60.0 
     255.255.255.0 eq 9004 (hitcnt=14)
access-list tACL-Policy line 6 extended deny tcp any 192.168.60.0 
     255.255.255.0 eq sip (hitcnt=30)
access-list tACL-Policy line 7 extended deny tcp any 192.168.60.0 
     255.255.255.0 eq 9043 (hitcnt=19) 
access-list tACL-Policy line 8 extended deny tcp any 192.168.60.0 
     255.255.255.0 eq 9443 (hitcnt=13) 
access-list tACL-Policy line 9 extended deny ip any any (hitcnt=34)

앞의 예에서 액세스 목록 tACL-Policy는 신뢰할 수 없는 호스트 또는 네트워크에서 받은 다음 패킷을 삭제했습니다.

ACE 라인 5에 대한 포트 9004의 14개 패킷
ACE 라인 6에 대한 포트 5060의 SIP 패킷 30개
ACE 라인 7에 대한 포트 9043의 19개 패킷
13 ACE 라인 8용 포트 9443의 패킷

firewall#show access-list IPv6-tACL-Policy                 
ipv6 access-list IPv6-tACL-Policy; 9 elements; name hash: 0x566a4229
ipv6 access-list IPv6-tACL-Policy line 1 permit tcp host 2001:db8:1:100::1 
     2001:db8:1:60::/64 eq 9004 (hitcnt=28) 
ipv6 access-list IPv6-tACL-Policy line 2 permit tcp host 2001:db8:1:100::1 
     2001:db8:1:60::/64 eq sip (hitcnt=124) 
ipv6 access-list IPv6-tACL-Policy line 3 permit tcp host 2001:db8:1:100::1 
     2001:db8:1:60::/64 eq 9043 (hitcnt=81) 
ipv6 access-list IPv6-tACL-Policy line 4 permit tcp host 2001:db8:1:100::1 
     2001:db8:1:60::/64 eq 9443 (hitcnt=81) 
ipv6 access-list IPv6-tACL-Policy line 5 deny tcp any 
     2001:db8:1:60::/64 eq 9004 (hitcnt=3) 
ipv6 access-list IPv6-tACL-Policy line 6 deny tcp any 
     2001:db8:1:60::/64 eq sip (hitcnt=49) 
ipv6 access-list IPv6-tACL-Policy line 7 deny tcp any 
     2001:db8:1:60::/64 eq 9043 (hitcnt=67) 
ipv6 access-list IPv6-tACL-Policy line 8 deny tcp any 
     2001:db8:1:60::/64 eq 9443 (hitcnt=80) 
ipv6 access-list IPv6-tACL-Policy line 9 deny ip any any (hitcnt=27)

앞의 예에서 액세스 목록 IPv6-tACL-Policy는 신뢰할 수 없는 호스트 또는 네트워크에서 받은 다음 패킷을 삭제했습니다.

ACE 라인 5에 대한 TCP 포트 9004의 3개 패킷
ACE 라인 6에 대한 TCP 포트 5060의 49개 SIP 패킷
ACE 라인 7에 대한 TCP 포트 9043의 67개 패킷
ACE 라인 8에 대한 TCP 포트 9443의 80개 패킷

또한 syslog 메시지 106023은 소스 및 목적지 IP 주소, 소스 및 목적지 포트 번호, 거부된 패킷에 대한 IP 프로토콜을 포함하는 중요한 정보를 제공할 수 있습니다.

식별: 방화벽 액세스 목록 Syslog 메시지

log 키워드가 없는 ACE(액세스 제어 항목)에 의해 거부된 패킷에 대해 방화벽 syslog 메시지 106023이 생성됩니다. 이 syslog 메시지에 대한 추가 정보는 Cisco ASA 5500 Series System Log Message, 8.2 - 106023에 있습니다.

Cisco ASA 5500 Series Adaptive Security Appliance용 syslog 구성에 대한 정보는 Monitoring - Configuring Logging에 있습니다. Cisco Catalyst 6500 Series ASA Services Module에서 syslog 구성에 대한 정보는 로깅 구성에 있습니다. Cisco Catalyst 6500 Series 스위치 및 Cisco 7600 Series 라우터에 대한 FWSM의 syslog 구성에 대한 정보는 Monitoring the Firewall Services Module에 있습니다.

다음 예에서는 show logging | grep regex 명령은 방화벽의 로깅 버퍼에서 syslog 메시지를 추출합니다. 이러한 메시지는 이 문서에 설명된 취약성을 악용하려는 잠재적 시도를 나타낼 수 있는 거부된 패킷에 대한 추가 정보를 제공합니다. 로깅된 메시지에서 특정 데이터를 검색하기 위해 grep 키워드와 다른 정규식을 사용할 수 있습니다.

정규식 구문에 대한 추가 정보는 정규식 만들기에 있습니다.

firewall#show logging | grep 106023
  Feb 27 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.99/3342 
         dst inside:192.168.60.240/9043 by access-group "tACL-Policy"
  Feb 27 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.100/3343 
         dst inside:192.168.60.115/9443 by access-group "tACL-Policy"
  Feb 27 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:192.0.2.88/3344 
         dst inside:192.168.60.38/5060 by access-group "tACL-Policy"
  Feb 27 2013 00:15:13: %ASA-4-106023: Deny tcp src outside:2001:db8:d::a85e:172/5343
         dst inside:2001:db8:1:60::134/9004 by access-group "IPv6-tACL-Policy"
firewall#

Cisco ASA Series Adaptive Security Appliance용 syslog 메시지에 대한 추가 정보는 Cisco ASA 5500 Series System Log Messages, 8.2에 있습니다. Cisco Catalyst 6500 Series ASA Services Module의 syslog 메시지에 대한 추가 정보는 Cisco ASASM CLI 컨피그레이션 가이드의 Analyzing Syslog Messages 섹션에 있습니다. Cisco FWSM용 syslog 메시지에 대한 추가 정보는 Catalyst 6500 Series Switch 및 Cisco 7600 Series Router Firewall Services Module Logging System Log Messages에 있습니다.

syslog 이벤트를 사용한 인시던트 조사에 대한 자세한 내용은 Identifying Incidents Using Firewall and IOS Router Syslog Events Cisco Security Intelligence Operations 백서를 참조하십시오.

완화: TCP 정규화

TCP 정규화 기능은 보안 어플라이언스가 탐지될 때 작동할 수 있는 비정상 패킷을 식별합니다. 예를 들어, 보안 어플라이언스는 패킷을 허용, 삭제 또는 지울 수 있습니다. TCP 노멀라이저에는 구성 불가능한 작업과 구성 가능한 작업이 포함됩니다. 일반적으로 연결을 삭제 또는 지우는 구성 불가능한 작업은 악성으로 간주되는 패킷에 적용됩니다. TCP 정규화는 Cisco ASA 5500 Series Adaptive Security Appliance의 경우 소프트웨어 릴리스 7.0(1)부터, Cisco Catalyst 6500 Series ASA Services Module의 경우 소프트웨어 릴리스 8.5부터, Cisco Firewall Services Module의 경우 소프트웨어 릴리스 3.1(1)부터 사용할 수 있습니다.

TCP 정규화는 기본적으로 활성화되어 있으며 이러한 취약성을 악용할 수 있는 패킷을 삭제합니다. 이러한 취약성을 악용할 수 있는 패킷에 대한 보호는 구성할 수 없는 TCP 정규화 작업입니다. 이 기능을 활성화하는 데 컨피그레이션을 변경할 필요가 없습니다.

TCP 정규화 기능을 사용하여 Cisco Unified Presence Server로의 TCP 연결에 대한 동시 연결 제한 및 유휴 시간 제한을 제한함으로써 DoS 조건을 방지할 수 있습니다. Cisco Unified Presence Server에 대해 관찰되는 최대 정상 연결 수에 따라 제한을 구성해야 합니다. Cisco Unified Presence Server에 대한 비정상적인 연결 수를 방지하기 위해 TCP 노멀라이저를 구성한다고 해서 영구 공격자가 허용된 연결 수를 소진하는 것을 막을 수는 없지만 유휴 연결이 많아 Cisco Unified Presence Server에 메모리가 부족해지는 것을 막을 수 있다는 점에 유의해야 합니다.

참고: 각 환경에 설정된 제한으로 주의해야 합니다. 특정 환경에 대한 합법적인 최대 제한을 준수하도록 설정되지 않은 경우 합법적인 연결을 거부할 수 있습니다.

다음 예에서 192.168.60.200/24은 영향을 받는 디바이스의 IP 주소입니다. 컨피그레이션은 디바이스에 대한 TCP 동시 연결을 1000으로 제한하고 연결 유휴 시간 제한을 30분으로 설정합니다. 각 환경에 설정된 제한에 주의해야 합니다. 특정 환경에 대한 일반적인 최대 제한을 준수하도록 설정되지 않은 경우 정상적인 연결을 거부할 수 있기 때문입니다.

! !-- Match TCP traffic to the Cisco Unified Presence Server !
access-list CVE-2013-1137-acl extended permit tcp any host 192.168.60.200
class-map CVE-2013-1137-cm
 match access-list CVE-2013-1137-acl
! !-- Configure the connection limits for TCP traffic !-- to the Cisco Unified Presence Server !
policy-map global_policy
 class CVE-2013-1137-cm
  set connection conn-max 1000
  set connection timeout idle 0:30:00
service-policy global_policy global

TCP 정규화에 대한 추가 정보는 CLI, 8.2를 사용하는 Cisco ASA 5500 Series Configuration Guide의 Configuring TCP Normalization 섹션 및 Cisco Catalyst 6500 Series ASA Services Module CLI Configuration Guide, 8.5의 Configuring TCP Normalization 섹션에 있습니다.

ID: TCP 정규화

Cisco ASA 5500 Series Adaptive Security Appliance의 경우 show service-policy 명령은 다음 예와 같이 TCP 정규화 기능이 삭제된 패킷 수를 식별할 수 있습니다.

firewall# show service-policy set connection detail

Global policy:
  Service-policy: global_policy
    Class-map: CVE-2013-1137-cm
      Set connection policy: conn-max 10000
        current conns 15, drop 5
      Set connection timeout policy:
        idle 0:30:00
        DCD: disabled, retry-interval 0:00:15, max-retries 5
        DCD: client-probe 0, server-probe 0, conn-expiration 0            11
firewall#

가속화된 보안 경로 삭제 패킷 또는 연결 디버깅에 대한 자세한 내용은 Cisco Security Appliance Command Reference for show asp drop을 참조하십시오.

Cisco ACE

완화: TCP 정규화

TCP 정규화는 Cisco ACE가 흐름의 다양한 단계에서 수행하는 일련의 확인으로 구성된 레이어 4 기능으로, 연결이 닫히는 것을 통한 초기 연결 설정부터 시작합니다. 하나 이상의 고급 TCP 연결 설정을 구성하여 많은 세그먼트 검사를 제어하거나 변경할 수 있습니다. Cisco ACE는 이러한 TCP 연결 설정을 사용하여 수행할 검사와 검사 결과에 따라 TCP 세그먼트의 폐기 여부를 결정합니다. Cisco ACE는 비정상이거나 형식이 잘못된 것으로 보이는 세그먼트를 폐기합니다.

TCP 정규화는 기본적으로 활성화되어 있으며 이러한 취약성을 악용할 수 있는 패킷을 삭제합니다. 이러한 취약성을 악용할 수 있는 패킷에 대한 보호는 구성할 수 없는 TCP 정규화 작업입니다. 이 기능을 활성화하는 데 컨피그레이션을 변경할 필요가 없습니다.

TCP 정규화 기능을 사용하여 Cisco Unified Communications Manager로의 TCP 연결에 대한 동시 연결 제한, 연결 속도 및 유휴 시간 제한을 제한함으로써 DoS 상태를 방지할 수 있습니다. 제한은 Cisco Unified Communications Manager에 대해 관찰된 최대 정상 연결 수 및 속도에 따라 구성해야 합니다. Cisco Unified Presence Server에 대한 비정상적인 연결 수를 방지하기 위해 TCP 노멀라이저를 구성한다고 해서 영구 공격자가 허용된 연결 수를 소진하는 것을 막을 수는 없지만 유휴 연결이 많아 Cisco Unified Presence Server에 메모리가 부족해지는 것을 막을 수 있다는 점에 유의해야 합니다.

참고: 각 환경에 설정된 제한으로 주의해야 합니다. 특정 환경에 대한 합법적인 최대 제한을 준수하도록 설정되지 않은 경우 합법적인 연결을 거부할 수 있습니다.

다음 예에서 192.168.60.200/24은 영향을 받는 디바이스의 IP 주소입니다. 컨피그레이션은 디바이스에 대한 TCP 동시 연결을 1000으로 제한하고, 연결 속도를 초당 100000개의 연결로 제한하며, 연결 유휴 시간 제한을 30분으로 설정합니다.

! !-- Create a connection parameter map to group together TCP/IP !-- normalization and termination parameters !
parameter-map type connection CVE-2013-1137-parameter-map
 limit-resource conc-connections 1000
 set timeout inactivity 1800
 rate-limit connection 100000
! !-- Match TCP traffic to the Cisco Unified Presence Server !
class-map match-any CVE-2013-1137-cm
 match destination-address 192.168.60.200
! !-- Configure the connection limits for TCP !-- traffic to the Cisco Unified Presence Server !
policy-map multi-match CVE-2013-1137-policy
 class CVE-2013-1137-cm
  connection advanced-options CVE-2013-1137-parameter-map
! !-- Apply the policy to the interface !
interface vlan 50
 service-policy input CVE-2013-1137-policy

TCP 정규화에 대한 자세한 내용은 Cisco ACE 4700 Series Appliance Security Configuration Guide의 Configuring TCP/IP Normalization and IP Reassembly Parameters 섹션에 있습니다.

ID: TCP 정규화

Cisco ACE Application Control Engine Appliance 및 Module은 이러한 취약성을 악용하려고 시도하는 동안 삭제된 패킷에 대해 show 명령 출력을 제공하지 않습니다.

Cisco 침입 방지 시스템

완화: Cisco IPS 시그니처 테이블

관리자는 Cisco IPS 어플라이언스 및 서비스 모듈을 사용하여 위협 탐지를 제공하고 이 문서에 설명된 여러 취약점을 악용하려는 시도를 방지할 수 있습니다. 다음 표에는 CVE 식별자 및 이러한 취약성을 악용하려는 잠재적 시도에 대한 이벤트를 트리거할 해당 Cisco IPS 시그니처의 개요가 나와 있습니다.

CVE ID	시그니처 릴리스	서명 ID	서명 이름	사용	심각도	충실도*
CVE-2013-1137	S593	6009/0	SYN 플러드 DOS	아니요	중간	85
CVE-2013-1137	S573	6920/0	Net Flood TCP	아니요	정보	100

* Fidelity는 SFR(Signature Fidelity Rating)이라고도 하며 사전 정의된 서명의 정확도를 나타내는 상대적 측정값입니다. 값의 범위는 0~100이며 Cisco Systems, Inc.에서 설정합니다.

관리자는 공격이 탐지될 때 이벤트 작업을 수행하도록 Cisco IPS 센서를 구성할 수 있습니다. 구성된 이벤트 작업은 예방 또는 억제 제어를 수행하여 이전 표에 나열된 취약성을 악용하려는 공격으로부터 보호하도록 합니다.

Cisco IPS 센서는 이벤트 동작의 사용과 결합된 인라인 보호 모드에서 구축될 때 가장 효과적입니다. 인라인 보호 모드에서 구축되는 Automatic Threat Prevention for Cisco IPS 7.x 및 6.x Sensor는 이 문서에 설명된 취약성을 악용하려는 공격에 대한 위협 방지 기능을 제공합니다. 위협 방지는 riskRatingValue가 90보다 큰 트리거된 서명에 대해 이벤트 작업을 수행하는 기본 재정의를 통해 구현됩니다.

위험 등급 및 위협 등급 계산에 대한 자세한 내용은 위험 등급 및 위협 등급: IPS 정책 관리 간소화를 참조하십시오.

Cisco 보안 관리자

식별: Cisco Security Manager

Cisco Security Manager, 이벤트 뷰어

소프트웨어 버전 4.0부터 Cisco Security Manager는 Cisco 방화벽 및 Cisco IPS 디바이스에서 syslog를 수집하고 이 문서에 설명된 취약성과 관련된 이벤트를 쿼리할 수 있는 이벤트 뷰어를 제공합니다.

이벤트 뷰어에서 사전 정의된 IPS Alert Events 보기를 사용하여 사용자는 이벤트 필터에 검색 문자열 6009/0 및 6920/0을 입력하여 Cisco IPS 서명 6009/0 및 6920/0과 관련된 모든 캡처된 이벤트를 반환할 수 있습니다.

이벤트 뷰어의 미리 정의된 Firewall Denied Events(방화벽 거부 이벤트) 보기에서 다음 필터를 사용하면 이 문서에 설명된 취약성을 악용하려는 잠재적 시도를 나타낼 수 있는 모든 캡처된 Cisco 방화벽 액세스 목록 거부 syslog 메시지를 제공합니다.

Destination 이벤트 필터를 사용하여 영향을 받는 디바이스에서 사용하는 IP 주소 공간을 포함하는 네트워크 객체를 필터링할 수 있습니다(예: IPv4 주소 범위 192.168.60.0/24 및 IPv6 주소 범위 2001:DB8:1:60:::/64)
Destination Service 이벤트 필터를 사용하여 TCP 포트 9004, 5060, 9043 및 9443을 포함하는 객체를 필터링합니다

이벤트 유형 ID 필터는 이벤트 뷰어의 Firewall Denied Events 미리 정의된 보기와 함께 다음 목록에 표시된 syslog ID를 필터링하여 이 문서에 설명된 취약성을 악용하려는 잠재적 시도를 나타낼 수 있는 모든 캡처된 Cisco 방화벽 거부 syslog 메시지를 제공할 수 있습니다.

ASA-4-106023(ACL 거부)

Cisco Security Manager 이벤트에 대한 자세한 내용은 Cisco Security Manager 사용 설명서의 이벤트 필터링 및 쿼리 섹션을 참조하십시오.

Cisco Security Manager 보고서 관리자

소프트웨어 버전 4.1부터 Cisco Security Manager는 Cisco IPS 이벤트 보고 기능인 보고서 관리자를 지원합니다. 관리자는 이 기능을 사용하여 원하는 Cisco IPS 이벤트를 기반으로 보고서를 정의할 수 있습니다. 필요에 따라 보고서를 예약하거나 임시 보고서를 실행할 수 있습니다.

보고서 관리자를 사용하여 사용자는 시간 범위 및 서명 특성을 기반으로 관심 있는 Cisco IPS 장치에 대한 IPS Top Signatures 보고서를 정의할 수 있습니다. Signature ID가

6009/0
6920/0

Cisco Security Manager는 해당 시그니처에 대해 실행된 경고의 수를 보고서에 표시된 모든 시그니처 경고의 총 합계와 비교하여 순위를 매기는 종합 보고서를 생성합니다.

또한 보고서 관리자에서 상위 서비스 보고서를 다음 구성과 함께 사용하여 이 문서에 설명된 취약성을 악용하려는 잠재적 시도를 나타내는 이벤트 보고서를 생성할 수 있습니다.

Destination IP 네트워크 필터를 사용하여 영향을 받는 디바이스에서 사용하는 IP 주소 공간을 포함하는 네트워크 객체를 필터링할 수 있습니다(예: IPv4 주소 범위 192.168.60.0/24 및 IPv6 주소 범위 2001:DB8:1:60::/64)
기준 설정 페이지에서 거부 작업을 설정합니다.

Cisco Security Manager IPS 이벤트 보고에 대한 자세한 내용은 Cisco Security Manager User Guide의 Understanding IPS Top Reports 섹션을 참조하십시오.

ID: Event Management System 파트너 이벤트

Cisco는 Cisco Developer Network를 통해 업계 최고의 SIEM(Security Information and Event Management) 기업과 협력하고 있습니다. 이러한 파트너십을 통해 Cisco는 장기 로그 아카이빙 및 포렌식, 이기종 이벤트 상관관계, 고급 규정 준수 보고 등 비즈니스 문제를 해결하는, 검증되고 테스트된 SIEM 시스템을 제공할 수 있습니다. Security Information and Event Management 파트너 제품을 활용하여 Cisco 디바이스에서 이벤트를 수집한 다음 수집된 이벤트에서 Cisco IPS 시그니처로 생성된 사고를 쿼리하거나, 이 문서에 설명된 취약성을 악용하려는 잠재적인 시도를 나타낼 수 있는 방화벽의 syslog 메시지를 거부할 수 있습니다. 쿼리는 다음 목록에 표시된 것처럼 Sig ID 및 Syslog ID로 수행할 수 있습니다.

6009/0 SYN 플러드 DOS
6920/0 Net Flood TCP
ASA-4-106023(ACL 거부)

SIEM 파트너에 대한 자세한 내용은 Security Management System 웹 사이트를 참조하십시오.

추가 정보

이 문서는 "있는 그대로" 제공되며, 상품성 또는 특정 사용에 대한 적합성의 보증을 포함하여 어떤 종류의 보장 또는 보증도 의미하지 않습니다. 문서 또는 문서에 링크된 자료의 정보를 사용하는 것은 귀하의 책임입니다. CISCO RESERVES THE RIGHT TO CHANGE OR UPDATE THIS DOCUMENT AT ANY TIME.

이 게시판 관련

Cisco Unified Communications Manager 다중 서비스 거부 취약점

Cisco Unified Presence Server Denial of Service 취약성

Cisco Prime Central for Hosted Collaboration Solution Assurance 과도한 CPU 사용률 취약성

개정 이력

버전	설명	섹션	날짜
1	알림 기록 최초 릴리스		2013년 2월 27일 16:02(GMT)

간단히 표시

Cisco 보안 절차

Cisco 제품의 보안 취약성 보고, 보안 사고에 대한 지원 요청, Cisco의 보안 정보 수신을 위한 등록 등에 대한 자세한 내용은 Cisco의 전 세계 웹 사이트(https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html)에서 확인할 수 있습니다. 여기에는 Cisco 보안 알림과 관련된 언론 문의에 대한 지침이 포함됩니다. 모든 Cisco 보안 권고 사항은 http://www.cisco.com/go/psirt에서 확인할 수 있습니다.

영향을 받는 제품

보안 취약성은 다음과 같은 제품 조합에 적용됩니다.

기본 제품
Cisco	Cisco Unified Communications Manager	8.6(기본) \| 9.0(기본) \| 9.0(1)(기본) \| 9.1(기본) \| 9.1(1)(기본)
	Cisco Unified Presence 서버	8.6(.4)
	Cisco 호스팅 협업 솔루션	8.6(x)(기본) \| 8.6(2)(기본) \| 9.0(x)(기본) \| 9.0(1)(기본)
	Cisco Unified Communications Manager IM and Presence Service	9.0(1) \| 9.1(1)

법적 고지 사항

이 문서는 "있는 그대로" 제공되며, 상품성 또는 특정 사용에 대한 적합성의 보증을 포함하여 어떤 종류의 보장 또는 보증도 의미하지 않습니다. 문서 또는 문서에 링크된 자료의 정보를 사용하는 것은 귀하의 책임입니다. CISCO는 언제든지 알림을 변경하거나 업데이트할 수 있는 권리를 보유합니다.

배포 URL을 생략하는 이 문서의 텍스트를 독립 실행형으로 복사하거나 패러프레이즈는 관리되지 않는 복사본이며 중요한 정보가 없거나 사실 오류가 있을 수 있습니다. 이 문서의 정보는 Cisco 제품의 최종 사용자를 대상으로 합니다

Cisco Voice and Unified Communications 제품의 취약점 식별 및 완화

편견 없는 언어

이 번역에 관하여

Cisco Applied Mitigation 게시판

Cisco Voice and Unified Communications 제품의 취약점 식별 및 완화

Cisco의 대응

취약성 특성

취약성 개요

완화 기법 개요

위험 관리

디바이스별 완화 및 식별

Cisco IOS 라우터 및 스위치

완화: 통과 액세스 제어 목록

식별: 통과 액세스 제어 목록

ID: 액세스 목록 로깅

Cisco IOS NetFlow 및 Cisco IOS Flexible NetFlow

식별: Cisco IOS NetFlow를 사용한 IPv4 트래픽 흐름 식별

식별: Cisco IOS NetFlow를 사용한 IPv6 트래픽 흐름 식별

식별: Cisco Flexible NetFlow를 사용한 IPv4 트래픽 흐름 식별

식별: Cisco IOS Flexible NetFlow를 사용한 IPv6 트래픽 흐름 식별

Cisco ASA, Cisco ASASM 및 Cisco FWSM 방화벽

완화: 통과 액세스 제어 목록

식별: 통과 액세스 제어 목록

식별: 방화벽 액세스 목록 Syslog 메시지

완화: TCP 정규화

ID: TCP 정규화

Cisco ACE

완화: TCP 정규화

ID: TCP 정규화

Cisco 침입 방지 시스템

완화: Cisco IPS 시그니처 테이블

Cisco 보안 관리자

식별: Cisco Security Manager

Cisco Security Manager, 이벤트 뷰어

Cisco Security Manager 보고서 관리자

ID: Event Management System 파트너 이벤트

추가 정보

이 게시판 관련

개정 이력

알림 기록

Cisco 보안 절차

관련 정보

영향을 받는 제품

법적 고지 사항

이 게시판 관련